«Защита распределенных систем нефтегазовых предприятий»
Описание
Цифровизация топливно-энергетического комплекса, в частности предприятий нефтегазовой отрасли, рождает новые вызовы для информационной безопасности эксплуатируемых систем. Применение распределенных систем управления, активное внедрение большого количества IoT-устройств, увеличение объемов передаваемых данных приводит к необходимости интеграции новых ИТ-решений с АСУ ТП, что может открывать киберпреступникам возможность проведения атак на промышленную инфраструктуру.
Еще одним вызовом для предприятий нефтегазовой сферы из мира информационной безопасности, стал уход с российского рынка зарубежных производителей средств защиты информации. Отсутствие технической поддержки и своевременных обновлений уже внедренных систем обеспечения информационной безопасности (ИБ) со стороны зарубежных компаний привело и будет приводить к постепенной деградации уровня защищенности.
В ответ на эти вызовы государство предпринимает попытки урегулировать ситуацию путем введения нормативных мер, предписывающих осуществить переход на промышленные информационные системы отечественного производства, однако реальный сектор не может одномоментно поменять дорогостоящее иностранное оборудование и программное обеспечение, и продолжает эксплуатировать существующие системы.
Использование устаревшего уязвимого программного обеспечения повышает риски ИБ и упрощает работу злоумышленников, компетенции и мотивация которых продолжают расти. Кибератаки на промышленные компании могут привести к утечке конфиденциальной информации, парализовать бизнес-процессы вплоть до остановки производства и повреждения оборудования. Последствия таких атак могут носить опасный техногенный характер.
Устойчивая работа предприятий газовой и нефтяной промышленности напрямую связана с национальной безопасностью, именно поэтому вопросы кибербезопасности в этой сфере регулируются государством. Требования по защите систем управления технологической части предприятия содержатся в нормативно-правовых документах по обеспечению безопасности критической информационной инфраструктуры Российской Федерации и регулируются Федеральным законом № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» и его подзаконными актами.
Требования законодательства, регулирующего сферу информационной безопасности, зависят от типов информационных систем, эксплуатируемых промышленными предприятиями:
- объекты критической информационной инфраструктуры (КИИ)
- государственные информационные системы (ГИС)
- информационные системы персональных данных (ИСПДн)
- информационные системы общего пользования (ИСОП)
- автоматизированные системы управления технологическим процессом (АСУ ТП)
Решение
Комплексный подход ИнфоТеКС по обеспечению информационной безопасности АСУ КИИ и АСУ ТП
Традиционно структуру промышленного предприятия представляют в виде многоуровневой модели: полевого уровня, уровня автоматизированного управления, оперативно-диспетчерского уровня, где эксплуатируются SCADA-системы, уровня управления производством и уровня управления предприятием. Каждый из этих уровней имеет свои особенности, влияющие на выбор средств защиты информации (СЗИ). Если для оперативно-диспетчерского уровня, например, не требуются изделия, работающие в тяжелых условиях эксплуатации, то для уровня автоматизированного управления и полевого уровня, как правило, есть требования работы в условиях низких и высоких температур, часто требуется электромагнитная совместимость, пыле- и влагозащищенность, вибростойкость. Применяемые технологии на каждом из уровней также влияют на выбор СЗИ. Для SCADA-систем на оперативно-диспетчерском уровне применяются обычные TCP/IP-сети, на уровнях автоматизированного управления и полевом могут использоваться последовательные интерфейсы и IP сети. Способы защиты информации и допустимые значения по задержкам для таких сетей будут разные. Несмотря на отличия в предъявляемых требованиях, СЗИ на промышленных предприятиях должны обеспечивать сквозную безопасность и функционировать в единой инфраструктуре.
Защита данных на всех уровнях промышленных систем.
1. Защита канала связи с удаленным объектом распределенной системы
В распределенных системах для диспетчеризации и управления удаленными объектами необходимо передавать информацию по защищенным каналам связи. Защита канала связи с удаленными объектами осуществляется с помощью VPN-соединения по технологии ViPNet VPN. Для организации VPN-соединения используются шлюзы безопасности ПАК ViPNet Coordinator IG и ПАК ViPNet Coordinator HW. ПАК ViPNet Coordinator IG идеально подходит для решения задачи защиты передаваемых данных на уровне автоматизированного управления распределенных систем. Для защиты канала связи на уровне оперативно-диспетчерского управления можно использовать как ПАК ViPNet Coordinator IG, так и ПАК ViPNet Coordinator HW соответствующей пропускной способности.
2. VPN для распределенных систем
В распределенных системах связь с удаленными объектами может осуществляться не только по проводным, но и по оптическим, и беспроводным каналам передачи данных. Технология ViPNet VPN одинаково надежно работает на любых каналах связи, независимо от их типа: витая пара, ВОЛС, спутниковая или сотовая сеть. ПАК ViPNet Coordinator IG может комплектоваться оптическими и беспроводными модулями связи для подключения к каналам передачи данных от удаленных объектов. Защищенное ViPNet VPN-соединение устанавливается от ПАК ViPNet Coordinator IG от уровня автоматизированного управления до уровня оперативно-диспетчерского управления, где может использоваться ПАК ViPNet Coordinator IG или ПАК ViPNet Coordinator HW
3. Автоматизированная система сбора данных с трубопровода
Задача состоит в защите данных, собираемых с множества датчиков, устанавливаемых на инфраструктурных объектах, например, на трубопроводных системах. Информация с таких датчиков как правило передается по энергоэффективным non-IP каналам с низкой пропускной способностью, таким, как LoRaWAN или NB-IoT. При передаче информации по подобным каналам связи необходимо использовать защиту на уровне передаваемых блоков данных, для этого применяются встраиваемые СКЗИ из состава решения ViPNet SIES. В устанавливаемые на трубопроводе датчики встраиваются крипточипы ПАК ViPNet SIES Core Nano, которые могут эксплуатироваться вне контролируемой зоны и не требуют смены ключей защиты и какого-либо обслуживания в течение всего срока службы (16 лет). На верхнем уровне для обработки защищенных данных используется программный комплекс СКЗИ ViPNet SIES Unit, интегрируемый, например, со SCADA-сервером. При необходимости криптографической обработки данных в базовой станции в нее может быть встроено СКЗИ ПАК ViPNet SIES Core. Передаваемые данные защищаются с помощью криптографического протокола CRISP (ГОСТ Р 71252–2024)
4. Система коррозионной защиты
Система коррозионного мониторинга и коррозионной защиты трубопроводов является одной из разновидностей систем промышленного интернета вещей (IIoT). Данные от контрольно-измерительных пунктов (КИП) передаются на станцию катодной защиты по беспроводным каналам связи (LoRaWAN RU, NB-IoT, GSM, спутниковые, радио каналы). Для их защиты в КИП встраивается крипточип ПАК ViPNet SIES Core Nano, в станцию катодной защиты – криптомодуль ПАК ViPNet SIES Core, из состава решения ViPNet SIES. На уровне сервера для защиты данных используется программный комплекс СКЗИ ViPNet SIES Unit. Для защиты данных, предаваемых между объектами системы, применяется криптографический протокол CRISP (ГОСТ Р 71252–2024).
5. Система телеметрического контроля и телемеханизации
Это территориально распределенная система, состоящая из серверов, автоматизированных рабочих мест, различных измерительных приборов и исполнительных устройств, например, крановых узлов на трубопроводах, являющихся удаленными объектами телеуправления и мониторинга. Особенностью такой системы является необходимость защиты данных, передаваемых с использованием дорогостоящих спутниковых и GSM-каналов, а также использование автономного аккумуляторного питания крановых узлов. На крановых узлах для защиты передаваемых данных применяются встраиваемые СКЗИ ПАК ViPNet SIES Core с низким энергопотреблением, позволяющие обеспечить необходимую энергоэффективность узла. Криптографический протокол CRISP (ГОСТ Р 71252–2024) позволяет сократить объем передаваемой служебной информации, а, следовательно, снизить стоимость и повысить энергоэффективность при передаче данных. Для обработки защищенных данных на верхнем уровне в соответствующий сервер встраивается программный комплекс СКЗИ ViPNet SIES Unit, входящий в решение ViPNet SIES.
